Directiva NIS2: Como verificar el cumplimiento

La verdad por delante, la ciberseguridad lleva sobre la mesa desde los años 60, sin embargo, no ha sido hasta hace poco que se ha convertido en una preocupación estratégica para todas las organizaciones, especialmente aquellas que gestionan infraestructuras críticas o dependen de servicios esenciales. Porque, ¿puede una empresa permitirse el lujo de ignorar la creciente sofisticación de las amenazas digitales y los requisitos normativos cada vez más rigurosos? Desde ya, te decimos que no, porque esto no va de proteger datos y ya, sino de garantizar la resiliencia operativa y la confianza a lo largo de toda la cadena de valor digital.

Y es que, la Directiva NIS2 ha elevado sustancialmente el listón del cumplimiento en toda la Unión Europea. Además, debemos tener en cuenta que el impacto va mucho más allá de la mera implementación técnica. Es decir, abarca desde la adecuación al Esquema Nacional de Seguridad hasta la gestión integral de riesgos, la adopción de certificados SSL y soluciones como el certificado digital de firma remota. Dicho esto, veamos en detalle, cómo verificar el cumplimiento de la NIS2 y qué pasos son imprescindibles para afrontar este desafío normativo y operacional.

Qué es la Directiva NIS2 y por qué es fundamental para tu empresa

El entorno normativo europeo ha evolucionado para responder a amenazas de ciberseguridad cada vez más complejas y persistentes. Es un hecho. La Directiva NIS2 (Network and Information Security Directive 2), adoptada por la UE en diciembre de 2022 y de obligado cumplimiento desde el 18 de octubre de 2024, sustituye y amplía el alcance de la Directiva NIS original, abarcando más sectores y endureciendo los requisitos de seguridad.

Esta normativa NIS2 obliga a medianas y grandes empresas, así como a administraciones públicas y pequeñas empresas que presten servicios críticos, a implementar medidas de seguridad y notificación de incidentes con plazos estrictos y consecuencias legales significativas. Además, promueve el uso de tecnologías certificadas, como el certificado SSL para proteger las comunicaciones y el certificado digital de firma remota para garantizar la autenticidad de las transacciones electrónicas.

En esencia, lo que tenemos que entender es que la demanda de cumplimiento no es solo jurídica, vamos, sino que afecta de lleno a la competitividad y la reputación corporativa en todos los sectores incluidos tanto en el Anexo I (esenciales) como en el Anexo II (importantes) de la Directiva. ¿Que por qué tiene que ser así? Porque esta clasificación determina la criticidad del sector y el nivel de exigencia aplicable, tal como establece el Esquema Nacional de Seguridad en España.

Pongamos el caso de Iberdrola, empresa referente en el sector energético europeo, que ya ha implementado políticas reforzadas de gestión de riesgos y controles de acceso multifactor, alineándose con requisitos NIS2 para garantizar la integridad de su infraestructura crítica. Y si ellos lo han conseguido que son un monstruo de grande, ¿por qué no lo vas a poder conseguir tú?

¿Qué diferencias supone frente a la NIS1?

La Directiva NIS1 (Directiva (UE) 2016/1148), aprobada en 2016, señaló el primer marco legal a escala europea para elevar el nivel de ciberseguridad en los sectores más críticos. Fue el pistoletazo de salida, vamos. En sus inicios, NIS1 se aplicaba fundamentalmente a un grupo reducido de operadores de servicios esenciales (OSE), como energía, transporte, salud, banca, agua e infraestructuras digitales, y a ciertos proveedores de servicios digitales. El alcance era limitado, las cosas como son, en toda la UE, unas 15.000 organizaciones quedaron inicialmente bajo su paraguas normativo (frente a las 160.000, con la NIS2). 

Sin embargo, el avance acelerado de la digitalización y el incremento en el número, gravedad y sofisticación de los ciberataques (con ejemplos como el salto de denuncias en el IC3/FBI de 298.728 en 2016 a 791.790 en 2020, y pérdidas superiores a 4.200 millones de dólares) evidenciaron lagunas en la aplicación y eficacia de la Directiva original.

La experiencia puso de relieve varias carencias:

• Aplicación desigual entre Estados miembros y marcos sancionadores poco homogéneos.
• Sectorización restrictiva que dejaba fuera a industrias relevantes.
• Protocolos de notificación de incidentes poco definidos en plazos y procedimientos.

NIS2 como respuesta a una amenaza creciente y regulación más amplia

Para cubrir esas brechas, en diciembre de 2022 la UE adoptó la Directiva NIS2 (Directiva (UE) 2022/2555), que amplía, endurece y armoniza la normativa anterior. Veamos los cambios cambios fundamentales que introduce: 

• Ahora afecta a todas las organizaciones con más de 50 empleados o un volumen de negocio superior a 10 millones de euros. Esto como hemos comentado anteriormente, aumenta la cobertura en la UE a más de 160.000 entidades.
• Reemplaza la distinción OSE/proveedores digitales por la clasificación de entidades esenciales (sector energético, digital, banca, salud, agua, transporte, administración, etc.) y entidades importantes (manufactura crítica, alimentación, servicios postales, TIC, gestión de residuos, entre otros).
• Detalla medidas técnicas y organizativas concretas (autenticación multifactor, cifrado, gestión proactiva de la cadena de suministro, auditorías internas y externas, planes de continuidad y respuesta a incidentes). También fija la implicación legal y directa de la alta dirección.
• Plazos claros y más cortos, donde la notificación inicial obligatoria debe realizarse en menos de 24 horas, informe preliminar en 72 horas e informe final en un mes, tras cualquier incidente de impacto relevante.
• Multas por incumplir las obligaciones de ciberseguridad, las cuales pueden ser muy elevadas y varían según el tipo de entidad. Además de estas sanciones económicas, la NIS2 contempla que los directivos pueden asumir responsabilidad personal y patrimonial en casos de incumplimiento grave o reincidencia, lo que implica que pueden enfrentar consecuencias legales individuales, incluyendo la suspensión temporal de sus cargos o la imposibilidad de ocupar puestos directivos si se demuestra negligencia en la gestión de la ciberseguridad.
• Las empresas deben exigir y verificar que sus proveedores cumplan también con la normativa europea, lo que supone una cobertura de la cadena de suministro.

La entrada en vigor de la NIS2 comenzó el 16 de enero de 2023 y es exigible en España y la UE desde el 18 de octubre de 2024.

Debemos entender que la evolución de NIS1 a NIS2 representa el paso de un sistema limitado y poco armonizado hacia un marco normativo más sólido, adaptado al riesgo real y preparado para proteger, con criterios objetivos y sanciones severas, el funcionamiento esencial de la economía y la sociedad digital europea.

Razones por las que entra en Europa la Directiva NIS2

Más que razones en plural, la principal y la culpable de la entrada en vigor de la NIS2 en toda la Unión Europea es la constatación del aumento exponencial de ciberamenazas, brechas de datos y sabotajes en sectores estratégicos. 

Solo en 2023, los incidentes de ciberseguridad a gran escala aumentaron un 38% respecto al año anterior, según datos de la Agencia de la Unión Europea para la Ciberseguridad (ENISA). Actualmente, el nivel global de amenaza sobre la ciberseguridad en la UE se considera «sustancial», es decir, existe una alta probabilidad de que entidades críticas (como hospitales, administraciones públicas, transporte o banca) sean blanco de ciberataques graves o sufran brechas debidas a nuevas vulnerabilidades. 

El primer Índice de Ciberseguridad de la UE arroja una puntuación media de 62,65 sobre 100 en la región, sobre todo gracias a mejoras en políticas, pero aún con importantes frentes abiertos en la capacidad operativa y en la resiliencia frente a incidentes. En el último año se registraron cerca de 10.000 ataques cibernéticos relevantes en la UE; un 41% fueron denegaciones de servicio, el 25% malware y el 19% brechas de datos, golpeando especialmente a la administración pública, transporte y el sector financiero. Esta situación, sumada a la fragmentación y desigualdad en la aplicación de la primera NIS, impulsa la necesidad de una directiva más robusta y homogénea en toda Europa, como responde la NIS2.

Pero para saber a dónde vamos, tenemos que saber de dónde venimos, por eso es tan importante recordar la fragmentación previa en la aplicación de la primera directiva NIS, la cual generó importantes desigualdades en la postura de seguridad entre países, lo que a su vez, elevó la exposición al riesgo a nivel comunitario. Además, la transformación digital ha difuminado los límites entre sectores y geografías; ya no basta proteger redes propias, sino también mitigar riesgos a lo largo de toda la cadena de suministro.

• Como la cooperación internacional que se ha conseguido con la creación de grupos CSIRT y el fomento de la colaboración transfronteriza.
• El enfoque sectorial, que no es otra cosa que una clasificación según criticidad (esenciales vs. importantes).
• O la actualización periódica que consiste en la revisión y endurecimiento de obligaciones técnicas y de gobernanza.
• Por último, el establecimiento de mínimos comunes de gestión de riesgos y respuesta ante incidentes para evitar efectos dominó.

Objetivos de la Normativa NIS2

De primeras ya te decimos que van mucho más allá de la mera protección técnica. Se centran en establecer una cultura corporativa de seguridad, reforzar la supervisión estatal y elevar la ciberresiliencia global en la UE.

• Establecer requisitos comunes en toda la UE para garantizar un alto nivel de ciberseguridad.
• Ampliar el ámbito de aplicación a nuevos sectores y tipologías de entidad.
• Proteger infraestructuras críticas asegurando que una disrupción local no tenga efectos sistémicos.
• Fomentar la cooperación y el intercambio de información técnica sobre amenazas y vulnerabilidades.

Gestión integral de riesgos y nuevas obligaciones de notificación

El corazón técnico de la NIS2 reside en la exigencia de que todas las entidades cubiertas adopten una gestión avanzada de riesgos y refuercen sus sistemas de notificación de incidentes. Pero claro está, para conseguirlo hay que tomar determinadas medidas. 

Medidas como:

• Evaluaciones periódicas de riesgos sobre sistemas informáticos, redes y datos.
• Implementación de mecanismos de autenticación fuerte (MFA) y cifrado (por ejemplo, mediante certificado SSL y certificado digital de firma remota de Camerfirma).
• Procesos de notificación alineados a los siguientes plazos:
  • Comunicación inicial a la autoridad competente (24h tras detectar el incidente).
  • Informe preliminar (en las siguientes 72h).
  • Informe completo (plazo máximo de 30 días).

Cuándo se hace efectiva en España la Directiva NIS2

Aunque la Directiva NIS2 exigía que todos los Estados miembros, incluida España, transpusieran la norma a su legislación nacional antes del 17 de octubre de 2024, a día de hoy esa transposición aún no se ha completado en España. Qué raro, ¿eh? Es lo que tiene la administración española, que las cosas de palacio, van despacio. En fin, siempre nos quedará decirnos eso de que los últimos seremos los mejores. Dicho esto, ¿qué supone entonces que, aunque la directiva establecía la obligación de que las disposiciones empezaran a aplicarse a partir del 18 de octubre de 2024, en España aún estemos en pañales? Pues en la práctica, y hasta que se apruebe la ley española de transposición, existe un vacío o periodo transitorio que, como no, genera incertidumbre jurídica para las entidades afectadas.

Llegados a este punto y dada la ausencia de norma nacional, la Directiva NIS2 puede considerarse de aplicación directa en España para las materias suficientemente claras y precisas (efecto directo), pero la implementación completa (incluyendo el régimen sancionador, la supervisión y muchos detalles operativos) depende de la futura ley española. Organismos como INCIBE y el Centro Criptológico Nacional están ofreciendo orientación y recursos, pero la plena exigibilidad legal y el régimen exacto de control y sanciones quedarán definidos solo una vez se publique la legislación nacional definitiva.

Por tanto, aunque el 18 de octubre de 2024 era la fecha marcada para la aplicación efectiva de la NIS2, la realidad es que, en España, el proceso está pendiente de concluir y la plena seguridad jurídica y operativa para las organizaciones llegará cuando se apruebe la transposición definitiva.

Medidas que tienen que llevar a cabo las empresas afectadas por la NIS2

Las empresas incluidas deben abordar el cumplimiento de la NIS2 con una visión integral y priorización de riesgos, más allá de la simple implementación de soluciones puntuales.

• Revisión y mejora de políticas de ciberseguridad y análisis de riesgos.
• Elaboración y prueba de planes de continuidad y recuperación ante incidentes.
• Evaluación y supervisión de la ciberseguridad en toda la cadena de suministro.
• Uso de certificado digital de firma remota y certificado SSL para reforzar autenticidad y confidencialidad en procesos críticos.
• Formación continua de empleados en identificación y gestión de amenazas.
• Auditorías externas e internas para verificar la conformidad técnica y documental.

Seguridad end-to-end y protección en la cadena de suministro

El nuevo enfoque de la NIS2 exige controles más férreos tanto en la propia empresa, como en toda la cadena de proveedores y socios tecnológicos. Lo que nos lleva a: 

• Políticas de homologación y evaluación de proveedores.
• Integración de prácticas de auditoría cruzada.
• Obligación contractual de cumplimiento de estándares NIS2 por parte de los suministradores.
• Herramientas tecnológicas para monitorización y trazabilidad (por ejemplo, soluciones SIEM avanzadas).

¿Buscas un ejemplo? ¿Un espejo en el que mirarse? Pues ahí tenemos a Nestlé, que revisa regularmente la postura de ciberseguridad de sus suministradores y exige cumplimiento de estándares europeos y validación mediante auditorías externas y el uso de certificados digitales cualificados. Y, aunque el foco principal en los documentos públicos de Nestlé está orientado a criterios de derechos humanos, medioambientales y de gobernanza en la cadena de suministro, el estándar incluye también requisitos relacionados con la supervisión y evaluación del cumplimiento mediante diversas formas de auditoría, incluyendo entidades externas certificadoras o validadoras. Además, no olvidemos que la documentación oficial señala que Nestlé puede requerir mecanismos de verificación a medida que evolucionan (menos en España, por lo que parece) las normas internacionales y sectoriales, lo que encaja con el uso de auditorías externas y certificaciones.

Multas por no cumplir con la Normativa NIS2

Vayan preparando la cartera si tienen pensado hacer algo ilegal, porque las sanciones por incumplimiento son notablemente severas:

• Entidades esenciales (aquellas que prestan servicios básicos y críticos para la sociedad como energía, agua, transporte, bancos o grandes proveedores digitales), las sanciones pueden alcanzar hasta 10 millones de euros o el 2% de la facturación anual global de la empresa, aplicándose siempre la cifra mayor.

• En cambio, para las entidades importantes, que aunque relevantes no tienen un impacto tan crítico, las multas máximas son de 7 millones de euros o el 1,4% del volumen de negocio anual global, nuevamente eligiendo el montante más alto.

Esta política sancionadora busca disuadir el incumplimiento y asegurar la máxima implicación de los órganos directivos. Además, recordemos que las autoridades pueden imponer sanciones no financieras. Hablamos de órdenes de cumplimiento, auditorías obligatorias, suspensiones temporales de servicios o la inhabilitación temporal de directivos para ejercer funciones ejecutivas.

Impacto de las sanciones y procedimientos de supervisión activa

El marco sancionador de la NIS2 introduce herramientas coercitivas que van más allá de la mera multa. Nos explicamos. Las autoridades pueden, por ejemplo, requerir la publicación pública de incumplimientos, la designación forzosa de un responsable de supervisión, u ordenar la aplicación inmediata de medidas recomendadas en auditorías previas.

Pasos para preparar tu empresa para cumplir con la Normativa NIS

El cumplimiento de la Directiva NIS2 debe gestionarse como un proyecto de transformación constante. Hay que ir paso a paso, sí, pero esos pasos hay que darlos. Uno tras otro.

• Diagnóstico inicial de estado de ciberseguridad frente a los estándares NIS2.
• Designación de un comité directivo multidisciplinar que incluya IT, Legal, Operaciones y Seguridad.
• Elaboración de un plan maestro de ciberseguridad, priorizando las brechas más críticas.
• Integración de soluciones certificadas como la firma remota y certificados de autenticación web (SSL).
• Simulacros periódicos de incident response para evaluar la preparación real.
• Actualización de políticas y procesos cada seis meses o tras incidentes significativos.

Evaluación de madurez digital y estructura de gobierno corporativo

El éxito en la adaptación a la NIS2 depende de la capacidad de medir la madurez digital y dotar de recursos y gobernanza adecuados a la gestión de la ciberseguridad:

A día de hoy, los organismos reguladores y las agencias europeas de ciberseguridad (como ENISA) subrayan la importancia de desarrollar métricas claras de madurez que incluyan tanto factores tecnológicos como humanos y organizativos. Por ejemplo, la reciente “Guía práctica para la evaluación de la madurez en ciberseguridad” (ENISA, 2024) propone la autoevaluación periódica a través de cuestionarios estructurados y análisis comparativos intersectoriales, poniendo en alza también el valor de ejercicios de red teaming y simulacros coordinados entre departamentos para probar la resiliencia real de la organización. 

Cada vez más, las auditorías y los esquemas de certificación recomiendan implicar a los órganos de gobierno en las revisiones periódicas de riesgos; proporcionar formación constante sobre responsabilidad digital a los directivos; documentar el flujo de la toma de decisiones relacionadas con la ciberseguridad, alineando así la estrategia técnica con los objetivos corporativos. 

Además, no podemos mirar hacia otro lado y obviar que existe una tendencia creciente en la UE que consiste en emplear tableros de riesgo cibernético integrados en los consejos de administración. ¿Por qué? Porque permiten una visión consolidada y actualizada del estado de ciberseguridad para facilitar decisiones ágiles y basadas en datos. Este enfoque, validado por numerosos ejemplos en el sector financiero y de servicios públicos europeos, ha demostrado acelerar la respuesta ante incidentes y fortalecer la cultura de seguridad a todos los niveles de la organización.

• Utilización de marcos de referencia como ISO 27001, NIST CSF o el Esquema Nacional de Seguridad.
• Paneles de mando para seguimiento de KPIs y reporting directo a dirección.
• Implantación de auditorías cruzadas y procesos de revisión de terceros.
• Uso de herramientas automáticas de detección de vulnerabilidades, integradas con sistemas de control de acceso y gestión de identidades.

Qué diferencia hay entre las normativas importantes y esenciales en la Directiva NIS2

Buena pregunta. ¿Por qué la Directiva NIS2 las divide en dos grandes grupos? Para empezar, en función del sector donde operan y su tamaño, que ya es bastante. Pero también considerando el impacto real y potencial que una interrupción o ciberataque pueda tener en la sociedad, la economía y la seguridad pública a nivel nacional y transfronterizo. Porque como comprenderás no es lo mismo que hackeen a la DGT que a Peluquerías Paco sin menospreciar a Paco, claro está. Esta aproximación busca priorizar recursos y supervisión según el riesgo que representa cada entidad.

Las entidades esenciales incluyen grandes empresas de sectores considerados críticos (como energía, transporte aéreo y ferroviario, salud, agua potable y residuos, infraestructuras digitales, servicios financieros y administración pública central) además de proveedores de servicios tecnológicos especialmente sensibles, como los prestadores de servicios de confianza y registros de dominios de internet. Su carácter crítico se deriva tanto del papel que juegan en el mantenimiento de servicios esenciales como de la vulnerabilidad que su interrupción podría causar en la seguridad o bienestar de un país o de la Unión Europea en su conjunto. Por ello, sobre estas entidades recae una supervisión activa y continua de las autoridades competentes. Si estás pensando en monitorización reactiva ante incidentes has acertado, pero además se añaden auditorías proactivas, exigencia de informes periódicos y controles estrictos de su cumplimiento. Y ojo con lo que hacemos que las sanciones para incumplimientos graves o reiterados son severas, pudiendo alcanzar hasta 10 millones de euros o un 2% de la facturación global anual, según la opción más alta.

En contraposición, las entidades importantes comprenden empresas que, aunque desempeñan un papel significativo en la cadena de suministro o en sectores que sostienen servicios relevantes como la logística, servicios postales, gestión de residuos, producción alimentaria o actividades de investigación y desarrollo, su interrupción no tendría un impacto tan masivo o directo en la seguridad o economía de un Estado o de la UE. Estas entidades están bajo una supervisión principalmente reactiva, que se activa generalmente tras la detección o denuncia de un incidente significativo, y sus obligaciones están más orientadas a responder y corregir vulnerabilidades reflejadas en controles a posteriori. El régimen sancionador para estas empresas es menor que para las esenciales, con multas máximas que llegan hasta 7 millones de euros o el 1,4% de la facturación global, aplicándose la cifra mayor.

No obstante, la NIS2 pone a los Estados miembros en la potestad de adaptar esta clasificación y agregar entidades consideradas críticas a nivel nacional, en función de criterios propios sobre el riesgo e impacto local, lo que incluye también la posibilidad de considerar esenciales a pequeñas o medianas empresas si su servicio es único o vital para algún sector. ¿Qué busca esta flexibilidad? Asegurar que la protección cibernética sea efectiva y adaptada a la realidad concreta de cada país, sin perder la armonización europea.

Herramientas para cumplir con la Directiva NIS2

El cumplimiento eficaz se apoya en la adopción de herramientas tecnológicas avanzadas, así como en soluciones certificadas que garantizan autenticidad, trazabilidad y ciberresiliencia. ¿Qué te vamos a contar nosotros, verdad?

• Certificados digitales cualificados y de firma remota, como los de Camerfirma, para procesos de firma y autenticación electrónica robusta.
• Certificados SSL corporativos para garantía de cifrado de las comunicaciones.
• Plataformas SIEM (Security Information and Event Management) para monitorización continua.
• Soluciones de backup crítico y recuperación ante desastres.
• Sistemas de control de acceso y gestión de identidades (IAM).
• Plataformas de formación y concienciación en ciberseguridad.

Integración de la certificación digital en los procesos críticos

La certificación digital, especialmente los sistemas de firma remota y de autenticación integrada, se posiciona como un elemento fundamental para demostrar el cumplimiento normativo en auditorías externas:

• Proveedores como Camerfirma ofrecen plataformas para la emisión y gestión de certificados digitales (firma remota, sello electrónico, SSL OV) alineados con los requisitos de la NIS2.
• Estas soluciones facilitan la identificación segura, la generación de pruebas electrónicas y la trazabilidad necesaria para la gestión forense y la notificación de incidentes.
• El uso de firmantes remotos integrados en flujos de trabajo digitales permite una reversibilidad inmediata ante brechas y un control granular de los accesos.

Beneficios de la Directiva NIS2

Aunque el cumplimiento NIS2 supone un esfuerzo considerable, los beneficios superan ampliamente los costes, especialmente a medio y largo plazo.

• Mejora de la reputación y refuerzo de la confianza entre clientes y socios comerciales.
• Reducción de riesgos legales, financieros y operativos.
• Acceso preferente a mercados internacionales que exigen cumplimiento normativo robusto.
• Mayor capacidad de respuesta y recuperación ante incidentes, gracias a la sistematización de procesos.

Aparte de los beneficios ya mencionados, la implementación de la Directiva NIS2 facilita una mayor integración y cooperación entre entidades del sector público y privado, lo cual fortalece la resiliencia del ecosistema digital en su conjunto. Lo que por otro lado es muy interesante si tenemos en cuenta el escenario en el que nos movemos donde los ataques cibernéticos suelen impactar cadenas de suministro o infraestructuras interconectadas, y donde la respuesta coordinada puede evitar efectos en cascada que afecten a varios sectores simultáneamente. Por ejemplo, la directiva impulsa la creación y consolidación de equipos CSIRT (Equipos de Respuesta ante Incidentes de Ciberseguridad) que colaboran a nivel nacional y transfronterizo, optimizando la capacidad de detección y mitigación de amenazas emergentes.

Otro beneficio fundamental es la mejora en la gestión interna del riesgo, que se traduce en una mayor eficacia operativa. La estandarización de procesos y controles de ciberseguridad básicos, alineados con NIS2, obliga a las organizaciones a identificar criticidades, establecer planes de contingencia y desarrollar una cultura de seguridad activa. Esto ayuda a reducir interrupciones no planificadas, minimizar pérdidas asociadas a incidentes y a preservar la continuidad de negocio, aspectos que a medio y largo plazo se reflejan en un impacto positivo sobre la rentabilidad y sostenibilidad corporativa, lo que hace que la inversión en ciberseguridad deje de ser vista como un gasto para transformarse en una ventaja estratégica.

Ciberresiliencia certificada como ventaja competitiva

La implantación sistemática de medidas NIS2 y soluciones de certificación avanzada permite a las empresas:

• Demostrar ante auditores, inversores y clientes que operan conforme a los máximos estándares europeos.
• Convertir su madurez en materia de ciberseguridad en un factor de diferenciación.
• Detectar y contener ataques antes de que provoquen daños reputacionales o financieros significativos.

Es importante contar con acreditaciones y auditorías externas que validen la capacidad de anticiparse, responder y recuperarse frente a incidentes incrementa el valor percibido por inversores, clientes y socios, quienes dependen directamente de la seguridad de la cadena productiva y de suministro. Sin olvidar que, sin estas “evidencias”, poco vamos a hacer si lo que queremos es participar en licitaciones públicas o privadas, especialmente en sectores estratégicos o para contratos internacionales, donde la ciberseguridad ya forma parte de los criterios de adjudicación.
Por otro lado, la implementación sistemática de estas medidas genera un impacto positivo en la gestión del capital humano dentro de la organización. Nos explicamos: los programas de formación obligatorios, la comunicación interna transparente sobre riesgos y procedimientos, y la inclusión de prácticas de ciberresiliencia contribuyen a crear una cultura organizacional proactiva y consciente de la seguridad digital. ¿Qué significa esto? Que mejoramos la capacidad de respuesta ante incidentes (es lo que tiene estar preparado para algo) y reducimos el factor humano como vector de riesgo, un aspecto que estudios recientes (como el Threat Landscape 2024 de ENISA u otros reportes del Observatorio de Ciberamenazas de España) señalan como clave para reducir la frecuencia y gravedad de los ataques.